Kısaca
- Siber güvenlik şirketi ESET, Çin bağlantılı SlippyNunchucks grubunun yaygın kullanılan Çince klavye uygulaması Sogou Input Method’daki bir açığı istismar ettiğini tespit etti.
- Saldırganlar DNS ele geçirme yoluyla kötü amaçlı yapılandırma dağıttı ve Hong Kong, Tayland, Japonya, Vietnam, Umman, Sri Lanka ile bazı Avrupa ülkelerindeki kullanıcıları hedef aldı.
- Uygulamanın geliştiricisi Tencent, CVE-2026-120422 numaralı açığı gideren bir güncelleme yayımladı.
Siber güvenlik şirketi ESET, Çin bağlantılı bir siber saldırı grubunun, yaygın kullanılan bir Çince klavye uygulamasındaki güvenlik açığından yararlanarak farklı ülkelerdeki kullanıcıları hedef aldığını ortaya çıkardı. Uygulamanın geliştiricisi Tencent ise açığı kapatan bir güncelleme yayımladı.
ESET araştırmacıları, grubun bu uygulama üzerinden kötü amaçlı yazılım dağıttığını ve kullanıcıların internet bağlantılarını yönlendirerek saldırı gerçekleştirdiğini belirledi.
ESET Research, Tencent tarafından geliştirilen Çince giriş yöntemi düzenleyicisi Sogou Input Method’un Windows sürümlerindeki güvenli olmayan HTTP iletişimini kötüye kullanan bir DNS ele geçirme operasyonunu tespit ederek analiz etti. Kampanyanın arkasında Çin bağlantılı SlippyNunchucks adlı gelişmiş kalıcı tehdit (APT) grubunun bulunduğu belirtildi. DarkVigil kötü amaçlı yazılım ekosisteminin operatörü olan grubun, Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka’daki kuruluşları ve Çince konuşan kişileri hedef aldığı kaydedildi. Grubun Asya ve Avrupa genelindeki kullanıcılara da ulaşabildiği ifade edildi.
Saldırının işleyişi
ESET araştırmacısı Anh Ho, Temmuz 2026’da DarkVigil implantlarının Sogou Input Method’un SGTool.exe bileşeni tarafından başlatıldığını gözlemlediğini belirtti. Ayrıntılı incelemede, uygulamanın markalı kelime tanıtım mekanizmasına ait bir isteğin, kötü amaçlı bir yapılandırma sunmak üzere ele geçirildiği ortaya çıktı. Bu yapılandırmanın, yükleri uygulamanın mevcut iş akışları aracılığıyla çalıştırılabilecek konumlara yerleştirmeye yönlendirdiği aktarıldı. SGTool.exe’nin, çok amaçlı bir görev dağıtıcısı işlevi gören meşru bir Sogou bileşeni olduğu kaydedildi.
Sogou Input Method’un, Çince karakter yazmak için bilgisayarlarda ve mobil cihazlarda en yaygın kullanılan giriş yöntemi düzenleyicilerinden biri olduğu belirtildi.
Tencent’in yanıtı
ESET, operasyonu ortaya çıkarmasının ardından kötüye kullanımı bildirmek için Tencent Güvenlik Müdahale Merkezi ile iletişime geçti. Tencent’in hızla yanıt verdiği ve CVE-2026-120422 açığını gidermek için bir yama yayımladığı aktarıldı. Uygulamanın 16.10 sürümünün, etkilenen HTTP isteklerini HTTPS’e taşıyarak sorunu giderdiği belirtildi. Bu değişikliğin TLS sertifika doğrulamasını zorunlu kılarak DNS ele geçirme yoluyla kötü amaçlı yapılandırma dağıtılması riskini azalttığı ifade edildi.
DarkVigil araç seti
ESET Research, DarkVigil araç setini (FDMTP olarak da bilinen) 2025’in başından beri takip ediyor. Adın, kötü amaçlı yazılım çerçevesinin kütüphane başvurularında görülen dâhili adı Vigil’den geldiği belirtildi. ESET ayrıca implantın sızdırdığı verileri yönetmek için kullanılan web yönetim panelini de tespit etti. Panelde Vigil adını taşıyan bir logo bulunduğu aktarıldı.
SlippyNunchucks’ın en az 2023’ten bu yana aktif olduğu ve siber casusluk faaliyetlerinin DarkVigil araç setinin yerleştirilmesi ve kullanılması etrafında şekillendiği kaydedildi. Grubun ağırlıklı olarak Güney ve Doğu Asya’daki kuruluşları ve Çince konuşan kişileri hedef aldığı, zaman zaman Almanya, Rusya, Birleşik Krallık ve Avusturya dahil Avrupa’daki kurbanları da hedef aldığı belirtildi.
Kamuya açık bazı raporların DarkVigil’i Mustang Panda (Twill Typhoon olarak da bilinen) ile ilişkilendirdiği hatırlatılırken, ESET telemetrisinin DarkVigil ile ilişkili faaliyetler ile Mustang Panda faaliyetleri arasında herhangi bir örtüşme ortaya koymadığı kaydedildi.
Kaynak: (BYZHA) Beyaz Haber Ajansı
